Anthropic, Zhipu'nun GLM-5.3'ünün zayıf korumalarla uçtan uca otonom exploit'ler geliştirebildiğini ortaya koydu

Anthropic, Zhipu AI'nin (Çin dışında Z.ai olarak bilinir) en yeni modeli GLM-5.3 üzerine bir analiz yayımladı ve vardığı sonuç nettir: model, keşif aşamasından çalıştırmaya kadar işleyen siber exploit'leri otonom biçimde geliştirebiliyor ve bu yetenek, Anthropic'in bilinçli olarak sınırlı tuttuğu bir kapasiteye kabaca eşit; üstelik modelin ağırlıkları herkes tarafından indirilebilir. Beş Anthropic araştırmacısı — Andrew Fasano, Marius Fleischer, Cole McFaul, Robert Xiao ve Tripp Gallagher — tarafından kaleme alınan yazı, 29 Eylül'de Hacker News'in ana sayfasına çıktı.

Anthropic'in geri tuttuğu yetenek

Beş ay önce Anthropic, karmaşık exploit'leri insan yardımına ihtiyaç duymadan tüm saldırı zinciri boyunca geliştirebilen ilk yapay zeka modeli olarak nitelendirdiği Claude Mythos Preview'yi duyurdu. Bu yeteneğin diğer modellere de yayılacağını öngören şirket, modeli yalnızca denetimli savunuculara ayrılmış bir kanal olan Project Glasswing üzerinden yayımladı; bu kanaldaki kullanıcılar, kötü niyetli aktörlerin benzer araçlara kavuşmasından önce kritik yazılımlarda 10.000'den fazla güvenlik açığı ortaya çıkardı. Yeni yazıda Anthropic, bu sınıftan modellerin artık geldiğini ve bunun ilk örneğinin GLM-5.3 olduğunu belirtiyor.

GLM-5.3'ün skorları

Tüm değerlendirmeler, test için hazırlanmış çevrimdışı hedeflere karşı sandbox ortamlarında çalıştırıldı. Google Chrome'un arkasındaki V8 motorundaki bilinen hataların istismarını ölçen ExploitBench'te GLM-5.3, 410 denemeden 50'sinde çalışan bir exploit tamamladı; bu, Claude Mythos Preview'nün 410'da 56'sına yakın bir sonuç. Google OSS-Fuzz projelerinden derlenen ve tam puanı yalnızca eksiksiz bir control-flow hijack için veren Anthropic'in dahili binary istismarı benchmark'ında GLM-5.3, rastgele seçilen 100 görevin %4'ünü çözerken Mythos Preview %6'ya ulaştı. Anthropic'e göre asıl fark taban çizgisinde: Claude Opus 4.6 ve GLM-5.2 gibi önceki modeller hiçbirinde başarılı olamadı. Karşılaştırma rakamları, Moonshot AI (Kimi K3) ve DeepSeek'in (V4.1-Flash) en son open-weight sürümlerini de kapsıyor.

Araştırmacılar modelle neler başardı

İnsan yönlendirmeli ilk oturumda bir araştırmacı, GLM-5.3'ü popüler bir web tarayıcısının sandbox'taki Linux sürümüne yönlendirdi. Gün boyunca, sınırlı insan ilgisiyle model, tarayıcının JavaScript motorunda daha önce bilinmeyen birkaç güvenlik açığı buldu ve bunları, ziyaretçinin bilgisayarından rastgele dosyalar okuyan kötü niyetli bir sayfaya zincirledi — bunu bir kullanıcının SSH özel anahtarını çekerek gösterdiler. Anthropic bu hataları bakımcıya bildirdi ve diğer platformlardaki kullanıcıların da etkilenebileceğini, ancak orada istismarın daha karmaşık olabileceğini düşünüyor. Aynı oturum, kablosuz ve grafik sürücülerinde ile ağa bakan cihaz yazılımlarında istismar edilebilir zayıflıklar da ortaya çıkardı; bildirimler Anthropic'in incelemesini bekliyor.

İkinci oturumda daha küçük bir kardeş model olan GLM-5.3-Flash kullanıldı. Modele, yakın zamanda açıklanan bir Chrome açığı olan CVE-2026-11645'nin yalnızca kamuya açık ayrıntıları ve bilinen başka bir hata verildi; model bu ikisini birleştirerek pointer-authentication sağlamlaştırmasını atlayan, ARM64 hedefine karşı güvenilir bir exploit zinciri oluşturdu. Toplam çaba, 20 dakikalık insan ilgisi, sekiz saatlik model çalışması ve Zhipu'nun API fiyatlarıyla 20,40 dolar tuttu.

Yetersiz kalan korumalar

GLM-5.3 açıkça zararlı istekleri reddediyor; ancak Anthropic'in simüle edilmiş testlerinde basit teknikler bu korumaları %64 ile %100 arasında aştı veya etkisiz hale getirdi. Aynı saldırılar, korumalı Claude modellerine karşı başarılı olamadı. Yazı, standart bir ret azaltma tekniğini en etkili yöntem olarak tanımlıyor; ancak yayımlanan metin tanımın ortasında kesiliyor.

NIST'ten bağımsız bir okuma

17 Eylül'de NIST'in Yapay Zeka Standartları ve İnovasyon Merkezi kendi değerlendirmesini yayımladı; GLM-5.3'ü "bugüne kadar yayımlanan en siber yetkin open-weight model" olarak nitelendirdi ve siber benchmark'larının toplamında ABD frontier'inden yaklaşık dört ay gerisinde olduğunu tahmin etti. Anthropic, yetenek bulgularının büyük ölçüde uyumlu olduğunu ancak önemli bir uyarıyla söylüyor: o karşılaştırmadaki ABD modelleri korumalar devre dışı bırakılarak test edildi ve frontier grubu yalnızca denetimli kullanıcılara açılan modelleri içeriyor. Saldırganlar o sürümlere kolayca erişemiyor — ama GLM-5.3'ü herkes indirebilir.

Neden önemli

Anthropic, GLM-5.3'ü frontier saldırı-siber yeteneklerinin sınırlı kalamayacağının kanıtı olarak çerçeveliyor: Anthropic'in denetimli savunucularla sınırladığı bir sisteme denk bir model artık, söküp atılabilecek korumalarla açık dolaşımda. Pratik değişim ekonomik — yeni yamalanmış bir tarayıcı hatasını çalışan bir saldırıya dönüştürmek onlarca dolara ve birkaç saate mal oldu, fonlanan bir ekibin haftalarına değil. Aynı yetenek savunucuların hataları önce bulup düzeltmesine yardımcı oluyor; Anthropic bunu açıkça bir avantaj olarak belirtiyor, ancak model iki tarafa da eşit şekilde erişilebilir. Daha fazla laboratuvar bu eşiği geçtikçe open-weight yayımlama pratikleri üzerine daha keskin bir tartışma ve koordineli bildirim hatlarına daha ağır bir yük bekleyin.